사이버 범죄 기간도 UP, 복구 기간도 UP

공격 방식, 복잡성, 치밀함, 갈수록 늘어난다는 증거

대처의 ‘하드웨어’는 갖추고 있으나 ‘소프트웨어’ 부실

[보안뉴스 문가용] 올 해 사이버 공격에 당한 회사는 그 이전 어느 때보다 시간을 더 쏟아서 복구한 것으로 나타났다. 최근의 멀웨어 및 공격 방식의 발전도가 최고조에 이르렀다는 뜻으로 전문가들은 해석하고 있다. 보안 업체인 라드웨어(Radware)에서 340개의 기술 분야 책임자 및 운영진들을 대상으로 한 설문에서 19%가 공격이 ‘꾸준하게’ 일어나고 있다고 답했으며 15%는 공격의 지속된 기간이 한 달 이상이었다고 답했다.

라드웨어가 지난 4년 동안 설문을 진행해온 이래로 한 달 이상 지속된 공격이 있었다고 답한 응답자가 이렇게 많아진 건 이번이 처음이다. “기존에 해왔던 ‘사건 대응’이 개념이 변해야 한다는 걸 반영하는 결과라고 봅니다. 기존의 사건 대응 개념은 ‘평상시 = 아무 일 없음’이거든요. 이게 더 이상 사실이 아니라는 것이죠.”

게다가 피싱, 사기, IP 도난, 웜, 바이러스 등 공격의 방법 자체도 다양해지고 있다는 것도 업체들을 불안하게 하고 있다. 그럼에도 올해 IT 전문 혹은 담당자들을 제일 많이 괴롭힌 건 놀랍게도 디도스 공격이라고 설문 결과가 나왔다. 디도스 다음으로 APT가 2위를 차지했다. 그에 따라 계속해서 이어지고 있는 정보 유출 사고에 대한 업체들의 경각심도 높아진 것으로 나타났다.

응답자들은 올해 가장 큰 인상을 남긴 사건으로는 아직도 여전히 실체가 드러나지 않은 소니 픽처스 사건을 꼽았다. 그밖으로는 4천만 건의 신용카드 정보가 유출된 타깃(Target) 사태, 마찬가지로 규모 면에서나 방법 면에서 ‘충격적’이었던 홈데포 사건, JP모건 체이스 사건, 슈퍼밸류 사건, UPS 스토어 사건이 사람들의 뇌리에 박혀 있는 듯 했다. 이 공격들의 공통점이라고 한다면 공격자들이 수주 혹은 수개월 넘게 발각되지 않은 채로 공격을 감행했다는 것이다.

“2014년은 정보 보안 역사에 있어서 분수령과 같은 한 해였습니다. 사이버 공격이 양이나 길이, 복잡성, 대상의 다양성에 있어서 어마어마한 수치를 기록했거든요.” 라드웨어의 설명이다. 그렇기 때문에 업체들이 점점 이런 식의 위협에 민감해지고 있고 그에 대한 대책 마련에 나서고 있다. “그렇다고 해도 해결과는 거리가 먼 부분이 많지만 말입니다.”

라드웨어의 조사에 의하면 이번 설문에 응한 응답자들 중 장기적인 사이버 위협에 맞설 기본 체제를 갖춘 기업은 절반 이하라고 한다. 대신 일회 혹은 하루 동안 이루어지는 공격에 대해서 방비능력이 있다고 밝힌 응답자는 52%였다. 이런 공격으로 입을 수 있는 가장 큰 피해로는 브랜드 명성 혹은 신뢰가 떨어지는 것이었고, 그 다음으로 실질적인 수익 손실, 그 다음으로 사업 잠정 중단이 꼽혔다.

포네몬(Ponemon)에서도 비슷한 설문을 진행한 바 있다. 그리고 대부분 업체에서 보안에 대한 가시적인 방어책을 마련하는 등의 노력을 하긴 했지만 운영이나 데이터 관리와 같은 부분에서는 여전히 소홀한 측면이 있다는 결과를 발표했다. 그래서 그런지 기업들의 지속적인 골칫거리로는 정보 유출, 리스크 평가, 네트워크 이상 징후 발견, 지속적인 네트워크 감시가 꼽혔다.

포네몬은 567 IT 전문가들을 대상으로 위 설문을 조사했는데 73%가 정보 유출에 대한 위기 관리 혹은 대처 방안 계획을 수립했다고 응답했다. 하지만 그 계획이 정말 효과적일까라는 질문에는 30%만이 긍정적인 대답을 했다고 한다. 부정적인 의견도 30%나 되었다.

이런 식의 대응법이나 계획을 무색하게 만드는 가장 큰 요인으로는 최종 사용자가 치명적인 데이터에 접근하는 걸 일일이 감시할 수 없다는 점을 꼽았다. 또한 모바일 기기와 클라우드 사용자가 갈수록 늘어난다는 점, 서드파티 업체에게 네트워크 접근권을 줄 수밖에 없는 점이 꼽혔다.

그나마 다행인 건 업체들이 보안을 강화하기 위해 어느 정도 투자를 할 준비가 되어 있는 것으로 나타났다는 것이다. 라드웨어의 설문조사에서는 절반에 가까운 응답자들이 사이버 위협에 맞서기 위해 돈을 들여 신기술을 도입할 마음이 있다고 답했던 것이다. 물론 투자 규모에 대해서는 전혀 감을 못 잡고 있는 경우가 많긴 했지만 말이다. 또한 정보 보안이 CEO가 고민해야 할 문제라는 데에는 대부분 동의했다.

“점점 거대해지는 사이버 보안의 중요성, 혹은 사이버 위협의 심각성에 대해 모두들 인지하고 있다는 걸 알 수 있었습니다. 또한 빠르게 변하고 있는 각종 공격 방식에 대한 대처법에 대한 수요가 시장에서 제일 빨리 자라고 있다는 것도요.” 라드웨어의 분석이다.

@DARKReading

[국제부 문가용 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)